L’avis GHSA-hp8q-m388-6xxg signale que wcag-color-a11y-helpers 1.0.0 exécute des commandes de reconnaissance puis transmet les données collectées et des métadonnées à des collecteurs externes. Le paquet imite des registres internes Wix et peut compromettre les environnements qui le résolvent et l’importent.
Source : GHSA-hp8q-m388-6xxg — Malicious code in wcag-color-a11y-helpers (npm)
Analyse technique
Une fonction exécutée au chargement lance des commandes système et transmet les résultats par HTTP et DNS. Le paquet expose des noms de registres internes Wix et un manifeste les associant à un module de reconnaissance.
Impact, versions et correctif
Détection / vérification
Rechercher le paquet dans les dépendances et les journaux ; examiner les communications vers le domaine oastify.com indiqué dans l’avis.
Action recommandée
Éviter d’installer ou d’importer la version 1.0.0; vérifier les dépendances et les environnements de build concernés.
Sources
Priorisation DFS : P3 · 1 source(s).